Усиление защиты цифрового пространства и обеспечение безопасности объектов КИИ является одной из приоритетных национальных задач. По данным управления Администрации президента РФ, 90% инфраструктуры госсектора подверглось кибератакам с февраля 2022, а количество DDoS-атак увеличилось в 20 раз. 

Чтобы укрепить киберзащиту и выявлять атаки в режиме реального времени,  МФЦ Курской области решили внедрить систему MaxPatrol SIEM с помощью инженеров компании Axoft, партнером проекта выступил ООО «ЩИТ-СБ».

Проблема и решение

Перед МФЦ стояла задача — оперативно повысить уровень информационной безопасности, своевременно выявлять и реагировать на возможные атаки на информационные ресурсы. В учреждении ранее использовались отдельные средства контроля уязвимостей, которые не позволяли увидеть полную картину состояния защищенности инфраструктуры.

Для организации централизованного сбора, хранения и управления событиями, администрацией был сделан выбор в пользу MaxPatrol SIEM от Positive Technologies. Решение зарегистрировано в Едином реестре российских ПО и соответствует регуляторным требованиям заказчика. Система позволяет эффективно управлять ИБ-событиями, анализировать и определять аномальное поведение, а также работать с большим объемом данных и автоматизировать процесс с помощью продвинутых инструментов фильтрации и корреляции.

Внедрение 

Внедрением и развертыванием системы занималась инженерная команда Axoft.  Весь процесс проходил в три этапа.

На первом этапе инженеры разработали план интеграции SIEM. Для этого был составлен перечень источников в инфраструктуре, которые необходимо подключить:

- Система защиты конечных узлов

- Операционные системы 

- Служба каталогов

- Система VPN

- Системы управления базами  данных

- Система виртуализации

- Система защиты приложений

- Система мониторинга сети

- Система обнаружения вторжений

- Система предотвращения утечек информации

Также направлена документация техническим специалистам МФЦ. Важно, чтобы источники были корректно настроены теми специалистами, которые их эксплуатируют, от этого будет зависеть эффективность работы всей системы в дальнейшем. Параллельно разворачивалась компонентная база для средненагруженных систем.

Второй этап включает подключение источников событий, корреляцию и контроль поступающих инцидентов. Также настраиваются задачи аудита и, на основании полученных данных, формируются статические/динамические группы и виджеты для оперативного доступа к критичной информации. Этот блок является самым объемным и занимает до 90% времени от всего внедрения, так как есть много нюансов при работе с источниками, которые необходимо учитывать. Например, сетевые устройства в большинстве своем передают информацию по Syslog, который в свою очередь может отправлять данные в любом виде. Поэтому их нужно контролировать и следить, что нормализовалось, а что нет.

После того, как все источники были подключены, инженеры перешли к настройке правил корреляции правил. Из «коробки» у MaxPatrol SIEM достаточно широкий набор заданных правил. Поэтому необходимо было приоритизировать и применить только те, которые действительно необходимы. При запуске событий были ложные срабатывания, но это естественный процесс, так как правило еще не понимает инфраструктуру, такие случаи вовремя «отлавливались» и дорабатывались.

На заключительном этапе система была введена в эксплуатацию, инженеры проконтролировали, чтобы все работало корректно, а также провели обучение специалистов МФЦ по работе с Системой.

Нюансы проекта

Развертывание сертифицированной версии SIEM позволило, помимо стандартных задач по сбору логов и проведения аудита узлов, собрать информацию о «киберслабостях». Так, на нескольких критичных узлах были обнаружены уязвимости, которые могут привести к заражению вредоносными ПО «WannaCry». Чтобы своевременно их отслеживать, инженер установил специальный виджет.

Стоит отметить, что систему разворачивали в сети VIPNet. Особенности пула адресов VIPNet, а также порядок доступа к базам хранилища не позволяют работать со стандартными настройками. Но совместно с командой технических специалистов вендора удалось оперативно решить эту проблему.

«В целом внедрение российской MaxPatrol SIEM прошло в штатном режиме. Команда инженеров Axoft осуществила разработку плана и последующее развертывание. Мы проводили как консультацию с точки зрения построение правильного процесса управления событиями, так и производили необходимые настройки на стороне SIEM. Были некоторые нюансы в адресации сети, но совместно с вендорской технической поддержкой Positive Technologies их удалось решить», — отметил Денис Фокин, руководитель отдела консалтинга и инженерной поддержки направления по информбезопасности компании Axoft

Результаты 

В итоге развертывание системы SIEM длилось около двух месяцев, удалось подключить 19 филиалов МФЦ по Курской области, общий объем источников, с которых собирали события составил около 1000 узлов.

«Команда Axoft в установленные сроки провела внедрение продукта, подключила все заявленные источники событий и обеспечила эффективное взаимодействие с заказчиком. За проектом был закреплен инженер, который помог настроить систему на высоком уровне. Планируем в дальнейшем продолжать сотрудничество с Axoft», — рассказал Денис Гавриленко, генеральный директор ООО «ЩИТ-СБ».